DevOps チームはコンテナベースのマイクロサービスを ECR + ECS Fargate で運用しています。CI/CD パイプラインにおいて、ECR にプッシュされたイメージに HIGH 以上の重大度の CVE が含まれる場合にデプロイを自動ブロックする必要があります。AWS ネイティブサービスのみを使用した最も効果的なアーキテクチャはどれですか？
Amazon Inspector v2の拡張スキャンはベーシックスキャンより多くのCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）データベース（NVD・OSベンダーアドバイザリ等）をカバーし検出精度が高く、発見事項はSecurity Hubにも自動集約されます。CodePipelineのLambdaアクションでInspector APIを呼び出すことでデプロイ前のゲートチェックが実現できます。 選択肢AのベーシックスキャンはClair ベースであり、更新頻度・検出精度が拡張スキャンより劣り、最新のCVEへの対応が遅れる可能性があります。 選択肢CのCodeBuild によるスキャン結果の S3 保存・Security Hub 転送はスキャンを可視化するのみで、デプロイの自動ブロック機能を持たず要件を満たしません。 選択肢DのECS タスク起動後のランタイムスキャンはデプロイ後の脆弱性検出であり、問題のあるイメージのデプロイ前ブロックという要件を満たしません。